Les firewalls SMS internationaux se situent au niveau de l'interconnexion. Ils protègent le trafic arrivant de l'étranger. Ils ne voient ni le spam on-net, ni les tempêtes de SMS internes, ni les routes grises via des SIM box locales, ni les abus de flash calls, ni l'usurpation de Sender ID de vos marques bancaires et gouvernementales. Le Local SMSC Firewall se situe en amont de — ou aux côtés de — votre SMSC local, et traite chacune de ces menaces.
Des opérateurs qui associent leur firewall international à un firewall de cœur local
Une inspection en ligne sans risque en ligne. Chaque règle s'exécute en mode surveillance avant de bloquer quoi que ce soit ; chaque décision est attribuable à la règle qui l'a produite.
Surcharge de bout en bout en ligne, par message.
Chaque règle peut fonctionner en mode journalisation seule avant de bloquer quoi que ce soit.
Autoriser, bloquer, limiter, étiqueter et router.
Cogéré, en libre-service, ou entièrement géré.
Le firewall se situe entre chaque source de trafic et votre cœur de messagerie — SMPP, HTTP, API internes, applications internes, partenaires externes — et inspecte chaque message avant qu'il n'atteigne le SMSC local.
SMPP, HTTP, API internes — applications internes et partenaires externes confondus. Tous les points d'accès au cœur de la messagerie sont concernés.
Type détecté : A2P, P2P, appel flash, trafic de test, messages système. Contexte étiqueté avant le déclenchement de toute règle.
Règles de contenu, de comportement et de contexte combinées. Par route, par expéditeur, par segment, par heure de la journée.
Autoriser · bloquer · limiter · étiqueter et acheminer. Chaque décision est consignée avec la règle qui l'a prise.
Le trafic autorisé est transmis au SMSC local. Le trafic bloqué est supprimé, un enregistrement de preuve étant conservé.
SMPP, HTTP, API internes — applications internes et partenaires externes confondus. Tous les points d'accès au cœur de la messagerie sont concernés.
Type détecté : A2P, P2P, appel flash, trafic de test, messages système. Contexte étiqueté avant le déclenchement de toute règle.
Règles de contenu, de comportement et de contexte combinées. Par route, par expéditeur, par segment, par heure de la journée.
Autoriser · bloquer · limiter · étiqueter et acheminer. Chaque décision est consignée avec la règle qui l'a prise.
Le trafic autorisé est transmis au SMSC local. Le trafic bloqué est supprimé, un enregistrement de preuve étant conservé.
Quatre raisons pour lesquelles les opérateurs déploient un firewall dédié au SMSC local, même lorsqu'ils exploitent déjà un firewall international au niveau de l'interconnexion.
Les firewalls internationaux protègent l'A2P entrant depuis l'étranger. Les tempêtes de SMS internes, le phishing on-net, les routes grises via SIM box locales et l'usurpation de Sender ID des banques locales proviennent de l'intérieur du réseau — et nécessitent un firewall du côté intérieur.
L'inspection en ligne n'est envisageable que si elle n'ajoute aucune latence perceptible. Le firewall est conçu pour une décision à chemin rapide sur le cœur de messagerie, et mesuré en continu par rapport à la référence de votre propre SMSC.
Aucune règle ne bloque le trafic de production sans avoir d'abord fonctionné en mode journalisation seule sur du trafic réel, en prouvant son taux de faux positifs. Le passage en application est un simple changement, avec une piste d'audit complète, et chaque blocage est réversible.
Séparation claire entre la politique définie par l'opérateur et les recommandations de BroadNet. Circuits d'approbation pour les modifications de règles sensibles. Piste d'audit complète de qui a modifié quoi, quand et pourquoi.
Quatre types d'actions
Le moteur de règles combine des signaux de contenu, comportementaux et contextuels, mais l'action qu'il applique reste toujours l'une de ces quatre. Chacune est auditable, réversible, et déployée d'abord en mode surveillance.
Achemine normalement vers le SMSC local. Aucune restriction. Journalisé avec la règle qui l'a approuvé, à des fins d'audit.
Rejette le message et conserve le motif. Preuve conservée pour les enquêtes RA / régulateur / protection de marque.
Applique un plafond de débit par expéditeur, IP, compte ou partenaire. Le message continue, mais le flux est contrôlé.
Attache des métadonnées ou redirige vers un chemin alternatif pour un traitement spécial, une monétisation, ou une inspection supplémentaire.
Niveaux de service
Trois modèles opérationnels. La plupart des opérateurs démarrent en mode cogéré pendant le pilote, puis évoluent vers le modèle préféré de leur équipe une fois à l'aise avec le jeu de règles.
Votre équipe assure les opérations quotidiennes : modification des règles, tri des alertes, fenêtres de changement. BroadNet appuie l'ajustement complexe, les mises à jour de renseignement sur les menaces, et l'escalade des incidents.
Contrôle total du cadre de politique. BroadNet fournit la formation, la documentation, les runbooks, et une ligne d'escalade pour les incidents au niveau plateforme. Idéal pour les opérateurs disposant d'équipes de sécurité matures.
BroadNet prend en charge la gestion des règles, la surveillance, l'ajustement et la réponse aux incidents. L'opérateur définit l'orientation de la politique et examine les résultats mensuels. L'option à charge minimale.
Capacités
Des systèmes internes mal configurés créent des boucles capables de mettre à plat un SMSC local en quelques minutes. Les limites de débit par source, la détection de rafales et la limitation automatique stoppent la tempête avant que le service client n'en entende parler.
Maintenez des listes blanches de Sender ID approuvés pour les banques, administrations et OTT, en coordination avec la marque. Bloquez les sosies, les usurpations en casse mixte, et les expéditeurs non enregistrés revendiquant des identités protégées.
Des appels courts et répétés pour la vérification OTP, corrélés à l'activité SMS. Décidez sur le plan commercial : bloquer, autoriser avec surveillance, ou router vers un chemin payant. Renvoi vers /operators/flash-call.
Le trafic A2P livré via des cartes SIM grand public contourne les accords commerciaux. L'analyse de motifs identifie les comportements de SIM box sur votre propre réseau ; le trafic bloqué produit des preuves pour l'équipe RA.
Chaque règle peut fonctionner en mode journalisation seule avant de bloquer quoi que ce soit. Validez sur du trafic de production réel, mesurez le taux de faux positifs, puis passez en application en un clic, avec un journal de changement complet.
Journaux de messages détaillés avec la règle déclenchée, exportables en CSV / JSON / PDF pour les litiges partenaires et les enquêtes réglementaires. Rétention configurée selon votre politique IT et conformité.
Couverture des menaces
| vecteur d'attaque | Contrôle du pare-feu local | Résultat |
|---|---|---|
| Tempêtes et boucles SMS internes | Limites de débit par source, détection des rafales et limitation automatique sur le cœur local. | La tempête est maîtrisée avant que la SMSC locale ne soit complètement détruite. |
| Usurpation sender-ID sur le réseau des banques locales | Listes blanches coordonnées par marque avec détection des noms similaires, des majuscules et minuscules et des expéditeurs non enregistrés. | L'usurpation d'identité de marque locale a été bloquée grâce à un historique complet des opérations. |
| Routes grises A2P sur le réseau (boîtiers SIM locaux) | Analyse des schémas A2P et P2P et identification des boîtiers SIM sur votre propre réseau. | Contournement bloqué et documenté pour l'équipe RA. |
| Appel flash et appel vocal - abus de OTP | Corrélation des appels de vérification de courte durée avec l'activité SMS, déterminée par la politique en vigueur. | Bloquer, surveiller ou rediriger vers un contenu payant — un choix commercial, et non une solution de facilité. |
| Modifications de règles risquant de faux positifs | Chaque règle est exécutée en mode de surveillance des journaux uniquement par rapport au trafic réel avant d'être appliquée. | Le taux de faux positifs est mesuré en premier ; la mise en application de la loi se fait en un seul clic vérifiable. |
Défi : une plateforme marketing interne mal configurée a commencé à boucler le même SMS de notification vers l'ensemble de la base d'abonnés, menaçant de saturer le SMSC aux heures de pointe. Approche : un plafond de débit par source interne était déjà déployé en mode surveillance et a été promu en application dans la fenêtre de changement.
Défi : l'usurpation de Sender ID des principales banques locales érodait la confiance des abonnés dans le SMS comme canal de vérification. Approche : des listes blanches de Sender ID approuvés ont été intégrées en partenariat avec les banques, avec une détection de sosies sur les correspondances proches et les identités non enregistrées.
Défi : le trafic OTP par flash call issu de fournisseurs OTT consommait des ressources de signalisation voix sans générer de revenu, et était indiscernable des appels courts légitimes. Approche : des règles de corrélation voix ↔ SMS ont identifié les flash calls à motif répétitif ; la politique commerciale a choisi de monétiser les sources à fort volume et de bloquer le reste.
Déployable sur site, prêt pour l'audit, reconnu par les régulateurs sur chaque marché que nous servons.
À associer avec
Firewall A2P international au niveau de l'interconnexion. Le pendant de la protection du cœur local — ensemble, ils couvrent à la fois les menaces entrantes de l'étranger et les menaces on-net.
En savoir plusDétection dédiée du contournement de vérification OTT à l'entrée voix internationale. Utilisée par le Local SMSC Firewall pour la corrélation voix ↔ SMS.
En savoir plusCœur de messagerie de classe opérateur. Le Local SMSC Firewall se situe en ligne / en proxy en amont de cette passerelle dans la plupart des déploiements.
En savoir plusLes firewalls internationaux protègent le trafic arrivant de l'étranger — ils se situent au niveau de l'interconnexion. Le Local SMSC Firewall se situe en amont de, ou aux côtés de, votre SMSC local, et protège le cœur de messagerie. Il traite les menaces qui trouvent leur origine à l'intérieur de votre réseau ou qui contournent les protections internationales : systèmes internes mal configurés, spam on-net, routes grises via des SIM box locales, usurpation de Sender ID de marques locales, et abus de flash calls. Les deux solutions sont complémentaires, et la plupart des opérateurs exploitent les deux.
Généralement moins de 10 millisecondes par message, de bout en bout. L'inspection et la prise de décision s'exécutent en temps réel sur des chemins optimisés en mémoire. À titre de comparaison, la variation normale du réseau est souvent de 50 à 100 ms — le firewall n'en représente donc qu'une fraction. Nous mesurons et publions la latence par règle pendant le pilote.
Chaque règle peut d'abord être déployée en mode surveillance — elle journalise chaque correspondance mais ne bloque jamais. Vous voyez exactement ce qui serait rejeté, mesurez le taux de faux positifs, et ne passez la règle en application que lorsque vous êtes à l'aise. Si un faux positif survient une fois la règle en application, le journal détaillé indique la règle et le contenu exacts qui l'ont déclenché, et la règle peut être ajustée ou l'expéditeur mis en liste blanche en quelques minutes.
Les deux fonctionnent. Trois niveaux sont disponibles : entièrement géré (BroadNet exploite le firewall, vous définissez la politique), cogéré (votre équipe pilote le quotidien, BroadNet appuie l'ajustement complexe et les incidents), et libre-service (vous exploitez tout, BroadNet fournit la formation, la documentation et l'escalade au niveau plateforme). La plupart des opérateurs démarrent en mode cogéré pendant le pilote, puis évoluent vers le modèle préféré de leur équipe.
Le firewall est généralement déployé sur site, au sein de votre centre de données. Le contenu des messages est analysé en temps réel et n'est pas conservé — seules les métadonnées et les preuves de correspondance de règle sont journalisées. La rétention des journaux et les contrôles d'accès suivent vos politiques internes IT et de conformité. Aucun contenu ne quitte votre réseau sans votre autorisation explicite.
Un engagement type débute par un atelier technique réunissant vos équipes réseau, sécurité et IT avec les ingénieurs de BroadNet, suivi d'un pilote sur un sous-ensemble de routes ou de partenaires (chaque règle fonctionnant d'abord en mode surveillance seule), puis d'un déploiement progressif de l'application. Le parcours complet — de l'atelier à l'application totale — prend plusieurs mois dans la plupart des déploiements, le calendrier exact dépendant de la complexité de l'environnement et de la cadence d'ajustement des règles souhaitée.
Les journaux de messages détaillés attribuent chaque décision à la règle qui l'a produite. Les tentatives de route grise bloquées, le trafic présentant des motifs de SIM box, et les livraisons A2P déguisées en P2P non autorisées sont exportables sous forme de dossiers de preuves — CSV / JSON / PDF — pour les litiges partenaires et les enquêtes du régulateur. L'équipe RA dispose ainsi de preuves attribuables qu'une perte auparavant invisible a été quantifiée et traitée.
Oui. Le firewall s'intègre aux piles de surveillance, systèmes de ticketing et plateformes SIEM courants via API et syslog. Les événements de sécurité apparaissent dans les flux opérationnels que vos équipes utilisent déjà. Les intégrations spécifiques sont définies lors de l'atelier technique.
Question non posée ici ? Demandez à notre équipe d'ingénieurs
Les pare-feu SMS et SS7 du réseau bloquent les routes grises et la fraude à débit maximal tandis que le trafic légitime reste intact.
Réunissez vos équipes réseau, sécurité et IT. Nous cadrerons l'intégration, concevrons le jeu de règles initial, et exécuterons la première phase en mode surveillance — aucun blocage en production tant que vous n'en décidez pas.
